[Maroc] Libérer le potentiel des données : un levier stratégique pour moderniser les politiques publiques et stimuler l’innovation et la croissance économique.

Introduction.

L’avènement d’internet, sa généralisation et l’émergence du Web contributif ont entraîné une transformation digitale profonde dans tous les aspects de notre vie. En conséquence, une multitude de services publics et privés sont accessibles en ligne, souvent par un simple clic.

Les facilités offertes par les outils technologiques ont conquis le grand public : il est désormais possible d’obtenir un acte administratif à distance, de partager son avis sur un hôtel, ou simplement d’aimer une publication.

Cet espace numérique s’est ainsi imposé non seulement comme un vecteur d’information, mais aussi comme un lieu d’échange, de commercialisation et de partage à travers une diversité de moyens, notamment avec la prolifération des réseaux sociaux. Ces réseaux permettent aux internautes de fournir de façon volontaire des traces numériques de ce qu’ils font, ce qu’ils pensent et avec qui ils interagissent.

Toutes ces interactions et les traces laissées en ligne se transforment en données exploitables, dont la conservation et le traitement sont rendus possibles grâce au développement des capacités de stockage et de traitement, ainsi qu’à la baisse des coûts. Le volume généré devient exponentiel, alimenté par une utilisation massive d’internet, l’évolution rapide des technologies et la démocratisation des objets connectés.

Cette quantité volumineuse de données générées et stockées à l’état brut est appelée Big Data [1]. Il est devenu l’or du XXIe siècle, en raison des opportunités considérables qu’elle offre, tant aux entreprises qu’à l’État : innover, entraîner des modèles d’intelligence artificielle, résoudre des problèmes, relever des défis sociétaux, climatiques et environnementaux, améliorer l’élaboration des politiques, moderniser les services publics, ou tout simplement mieux connaître les clients et les usagers.
Les données ont la particularité de ne pas s’épuiser à l’usage, une même donnée peut être exploitée différemment demain, par rapport à la manière dont elle l’est aujourd’hui, voire être cédée sans perte de valeur [2] « un bien non rival », permettant ainsi des analyses nouvelles et des décisions innovantes.

Ainsi, plus les données sont stockées à l’état brut, plus leur potentiel est préservé pour l’avenir. Cependant, il s’avère que ces données massives peuvent être réparties sur plusieurs bases, chacune détenue par un acteur différent au sein d’un écosystème donné. Par ailleurs, ces données ont été initialement collectées dans un but précis et contiennent, de manière inévitable, des données à caractère personnel permettant d’identifier directement ou indirectement les personnes concernées [3], notamment par le croisement de données. Dès lors, leur partage et leur traitement à des fins différentes de celles initialement prévues peuvent porter atteinte à la vie privée, et tomber sous le coup de l’interdiction prévue par la loi 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel.

Ces données peuvent également inclure des informations originellement non personnelles, telles que les données météorologiques ou les cours boursiers, ainsi que des données initialement personnelles, mais rendues anonymes par la suppression de tout élément identifiable. Elles peuvent aussi concerner un type de données un peu particulier, qui ne relèvent pas de la catégorie des données ouvertes en raison de leur caractère sensible et confidentiel, mais dont la diffusion et l’exploitation contribuent à l’intérêt général (DIG) [4] ou servent le bien public [5].

Face à l’hétérogénéité des données, à leur distribution sur plusieurs bases, et à la diversité des positions des différents intervenants à leur égard, il convient de distinguer deux catégories d’acteurs  : d’une part, les détenteurs ou fournisseurs de données, généralement enclins à partager leurs données avec les autres acteurs concernés au sein d’un écosystème donné, dans un cadre collaboratif et dans un intérêt commun, à condition de pouvoir participer aux décisions relatives à l’usage de leurs données et d’en tirer eux-mêmes un bénéfice [6] ; d’autre part, les consommateurs de ces données, qui cherchent à s’en emparer pour en tirer des avantages individuels.

Pour concilier ces intérêts divergents et libérer pleinement le potentiel des données, il est essentiel de mettre en place un cadre garantissant un accès équitable, sécurisé et responsable à des données de qualité pour l’ensemble des parties prenantes. Cela passe par l’instauration d’une gouvernance robuste et par le déploiement d’infrastructures souveraines favorisant l’interopérabilité entre les acteurs d’un même écosystème, ainsi qu’entre les différents écosystèmes, afin d’éviter la fragmentation de l’économie des données et maximiser la valeur pour les organisations comme pour les citoyens.

Dès lors, comment assurer un partage équitable des données entre les différentes parties prenantes, dans une logique de collaboration et d’intérêt commun ? Comment garantir une libre circulation des données à des fins économiques, tout en respectant la vie privée, l’anonymat et les droits fondamentaux des individus ? Et enfin, comment permettre aux utilisateurs de consentir librement à la mise à disposition de leurs données auprès d’acteurs publics et privés, dans une optique de recherche et de développement, visant à résoudre des problématiques complexes liées à la santé, à la mobilité ou à l’environnement  ?

Pour répondre à ces questions, nous nous pencherons d’abord sur les leviers permettant aux acteurs publics et privés de valoriser le potentiel de leurs données, que ce soit dans une logique de bénéfice économique commun ou dans le cadre d’une réponse à des enjeux d’intérêt général. Nous examinerons ensuite les défis liés à la gouvernance des infrastructures de partage de données, afin de concilier le droit d’accès aux données partagées avec les impératifs liés à la protection de la vie privée et au respect du droit de la concurrence, et ainsi établir des règles claires et équitables pour l’ensemble des parties prenantes.

I - Placer les données nationales au cœur des politiques publiques.

Avec la numérisation croissante des services, ainsi que la multiplication des données de gestion, le volume et la nature des données produites par les secteurs public et privé ont considérablement évolué. Une donnée, même si elle est générée par un acteur pour répondre à ses propres besoins, peut s’avérer utile à d’autres acteurs et servir des objectifs différents. Elle peut également gagner en valeur lorsqu’elle est croisée avec d’autres données provenant de sources variées.

Cela souligne la nécessité de valoriser les données nationales afin d’en tirer pleinement parti (A), et de se doter d’infrastructures souveraines garantissant l’interopérabilité entre les systèmes d’information, tout en favorisant une exploitation optimale des données (B).

A - Mise en place d’un cadre juridique et institutionnel encadrant les données.

De nos jours, les données sont érigées en actif stratégique [7], voire considérées comme un véritable patrimoine national [8] par de nombreux États. Du pilotage des politiques publiques à la stimulation de l’innovation et de la croissance économique, elles offrent des opportunités majeures pour transformer la gouvernance, renforcer la souveraineté numérique et dynamiser l’économie. Pourtant, en l’absence d’une vision claire et d’un cadre de gouvernance centralisé, ces ressources restent sous-exploitées ou dispersées.

C’est dans ce contexte qu’émerge la nécessité de mettre en place une stratégie nationale de données, afin de définir de manière claire et précise les objectifs escomptés, tout en identifiant les leviers nécessaires pour les atteindre. Cette stratégie doit mettre en place les outils ainsi que les mécanismes juridiques et techniques permettant de structurer la collecte, la gestion, l’ouverture et l’exploitation des données produites par les administrations, les entreprises et les citoyens, et d’assurer in fine une gouvernance efficace et cohérente des données à l’échelle nationale. Elle doit reposer sur deux principes directeurs : d’une part, les données sont ouvertes par défaut [9], sauf lorsqu’une exigence légale explicite, ou leur caractère sensible ou confidentiel, justifie une restriction ; d’autre part, une donnée ne doit être demandée qu’une seule fois. 

La mise en place d’un régulateur national de données constitue le pilier central de la réussite de la stratégie nationale en matière de données. Placé à un haut niveau décisionnel, ce régulateur doit avoir pour mission principale d’assurer l’application cohérente de la politique nationale des données, d’en assurer le suivi rigoureux et de prendre les mesures nécessaires pour garantir sa mise en œuvre effective.
Pour accomplir cette mission, il doit être doté de pouvoirs étendus, couvrant l’élaboration des référentiels, des cadres réglementaires et des lois encadrant la gouvernance des données, y compris la classification, le partage et l’accès, le déploiement d’infrastructures techniques souveraines, telles qu’un cloud national, pour assurer le stockage sécurisé des données, la coordination avec les responsables des données au sein des différentes administrations et la définition d’indicateurs d’engagement et de maturité, ainsi que le pilotage de leur mesure dans le temps.
Le régulateur national des données doit également être habilité à accompagner les entreprises et les citoyens dans le renforcement de leurs compétences liées à l’usage stratégique de la donnée. Cela inclut la sensibilisation à son importance, l’amélioration de sa compréhension, et le développement des capacités dans l’exploitation des données massives (Big Data). Il lui revient aussi d’assurer une veille juridique et technologique continue, afin d’adapter le cadre réglementaire aux évolutions en cours et d’y introduire de nouveaux droits numériques, tels que le droit à la portabilité des données [10].

Ce rôle englobe également l’exploration de partenariats régionaux et internationaux avec des pays partageant des valeurs communes, afin de faciliter la libre circulation des données personnelles et non personnelles [11]. Ce cadre collaboratif offre aux entreprises nationales un accès élargi aux ressources mondiales de données, renforçant ainsi leur potentiel d’innovation et de croissance économique. Simultanément, le régulateur doit jouer un rôle central dans la régulation des grandes plateformes technologiques, en veillant au respect des droits des utilisateurs et en limitant les abus de position dominante.

Sur le plan national, le Maroc s’est doté depuis plusieurs années de la loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Cette loi a institué la Commission Nationale de contrôle de la protection des données à caractère personnel (CNDP), chargée de veiller au respect des droits des individus et de les protéger contre tout abus lié au traitement de leurs données personnelles.

Parallèlement, la Direction Générale de la Sécurité des Systèmes d’Information (DGSSI) [12], relevant de l’Administration de la Défense Nationale, a pour mission de garantir la sécurité des systèmes d’information et des données sensibles. Elle est également responsable de l’élaboration de la liste des infrastructures d’importance vitale et des directives, normes, règlements, référentiels et recommandations en matière de cybersécurité, y compris le référentiel de classification des actifs informationnels et des systèmes d’information.
En plus des deux institutions précédemment citées, le Ministère de la Transition Numérique et de la Réforme de l’Administration [13] intervient aussi en matière de données. Il est chargé d’élaborer un plan national de développement des registres et des données numériques détenus par les administrations publiques, d’accompagner la mise en œuvre des projets associés et d’en assurer le suivi. Il a pour rôle également de contribuer à la valorisation de ces registres, à l’amélioration de leur interconnexion et à la facilitation des échanges de données. Enfin, il est responsable du suivi de la maturité numérique des administrations. 

Enfin, l’Agence de Développement du Digital (ADD) [14] a pour mission de collaborer avec les administrations dans le cadre des projets d’e-gouvernement, en vue de développer des services publics numériques et de garantir leur interopérabilité et leur intégration. 
Il convient de souligner qu’au regard de leurs prérogatives, aucune des institutions précédemment mentionnées ne dispose d’attributions spécifiques liées aux données en tant que capital national. Or, la donnée constitue un levier essentiel, à la fois pour l’amélioration des services publics, la prise de décisions fondées sur des statistiques fiables, la définition d’indicateurs factuels permettant d’évaluer l’action publique, ainsi que pour le développement économique, la promotion de la recherche et le renforcement de l’innovation.

Dans le même ordre d’idées, en décortiquant la loi n° 61-16 portant création de ladite Agence, aucune disposition explicite ne lui confère la mission de gérer les données ouvertes. Seule une clause lui permet d’entreprendre, en collaboration avec les organismes concernés, toute action visant l’encadrement, l’incitation et le développement des entreprises œuvrant dans le secteur de l’économie numérique. Par ailleurs, le rôle de l’Agence de Développement du Digital (ADD) se limite essentiellement à la mise en œuvre de la stratégie de l’État en matière de développement du numérique, sans pour autant disposer du pouvoir de proposer ou d’adopter des textes législatifs ou réglementaires. 

Par conséquent, la répartition hétérogène des responsabilités entre plusieurs acteurs en matière de gestion et de gouvernance des données risque de compromettre la capacité du Royaume à élaborer une vision cohérente et intégrée. Ce morcellement institutionnel pourrait freiner l’exploitation optimale de la donnée en tant qu’actif stratégique, pourtant essentiel au développement socio-économique et technologique, notamment dans les domaines de l’intelligence artificielle, de l’innovation numérique et de la modernisation des politiques publiques.

Face à l’absence d’une entité clairement mandatée pour piloter la gouvernance des données, il apparaît nécessaire de renforcer les compétences d’une institution existante ou de créer une structure dédiée à cette mission stratégique. Cette entité doit assurer une coordination étroite avec la Direction Générale de la Sécurité des Systèmes d’Information (DGSSI) en matière de cybersécurité, ainsi qu’avec l’ensemble des administrations publiques, afin de concevoir un cadre réglementaire national de gouvernance des données couvrant l’ensemble des catégories de données : données ouvertes, données d’intérêt général et données non personnelles.

La mise en œuvre de ce cadre doit être accompagnée de guides et de référentiels techniques, et faire l’objet d’un suivi rigoureux par l’entité précitée. Celle-ci doit avoir également pour mission de développer des infrastructures souveraines dédiées au stockage, au traitement et au partage des données, afin de renforcer les capacités de l’État en matière d’innovation, en particulier en prévision de l’adoption et du développement des technologies de pointe telles que l’intelligence artificielle.

B - Mise en place d’infrastructures numériques souveraines.

Certes, les données représentent une valeur inestimable, mais leur plein potentiel ne peut être exploité que si elles sont disponibles dans un format lisible et interprétable, stockées dans un cloud souverain sur lequel l’État exerce un contrôle total, mises à disposition dans le respect des exigences légales, et proposées dans une qualité irréprochable à l’ensemble des parties prenantes. En outre, il est essentiel que l’État dispose de la capacité de calcul et des outils d’intelligence artificielle souverains lui permettant de traiter, d’analyser ces données, de prédire les tendances futures et de prendre des décisions éclairées, justes et fondées sur des faits.

Aujourd’hui, grâce à l’automatisation des différentes phases de la chaîne de valeur du Big Data par le biais d’algorithmes, l’ensemble du processus s’effectue de manière numérique. En effet, une multitude de données est générée automatiquement et naturellement comme sous-produit des opérations quotidiennes [15].
Ainsi, par exemple, la déclaration de naissance d’un nouveau-né en ligne permet de générer un volume important de données : le prénom attribué, le lieu de naissance (à l’hôpital ou en clinique), la date de déclaration, etc. Certaines données sont saisies électroniquement par l’usager, tandis que d’autres sont extraites automatiquement à partir des documents téléchargés en ligne.

Afin de suivre l’état de santé de son enfant, le père utilise des outils connectés. Ces dispositifs contribuent également à la production de nouvelles données. De ce fait, les données générées peuvent provenir de sources variées et adopter différents formats ; structurées, organisées dans des champs explicites et interconnectés, non structurées, ne suivant ni typologie ni format précis [16].

Elles peuvent aussi être regroupées selon les méthodes de collecte, données fournies volontairement par les individus (formulaires, déclarations, inscriptions), données collectées par observation des comportements (navigation, géolocalisation, usage d’objets connectés), données inférées à partir de sources existantes (analyses croisées, algorithmes prédictifs) et enfin données acquises auprès de tiers, tels que des administrations publiques ou des entreprises spécialisées dans la vente de données.

Dans la même optique, la finalité de la collecte des données est souvent inconnue à l’avance, et guidée par un seul principe : plus il y a de données, mieux c’est [17]. Ce n’est qu’au moment de leur analyse que les multiples possibilités d’usage deviennent claires et identifiables.

Par exemple, les données recueillies lors de la déclaration de naissance d’un enfant sont initialement collectées pour traiter la demande d’inscription dans les registres de l’état civil. Mais elles peuvent ensuite être exploitées à d’autres fins : analyser le taux de natalité, étudier la répartition par genre, identifier les régions connaissant une forte croissance démographique, et ainsi orienter la construction de nouveaux hôpitaux, écoles ou crèches.

Néanmoins, pour tirer pleinement parti des données disponibles, il est essentiel que toutes les entités publiques et privées aient un accès généralisé à Internet haut débit et soient engagées dans une transformation numérique. Cela implique le déploiement d’infrastructures de télécommunication et une amélioration constante de la disponibilité de la connectivité à haut débit.

Le Maroc a franchi un cap important dans ce domaine : plus de 1 640 zones rurales ont été couvertes par les services de télécommunications de 2ᵉ, 3ᵉ et 4ᵉ génération entre 2018 et 2024. Les efforts se poursuivent pour mettre en œuvre la deuxième phase du Plan National pour le Haut et le Très Haut Débit (PNHD) [18]. D’ailleurs, l’accord de fusion et de mutualisation des infrastructures entre Inwi et Maroc Telecom, ainsi que la création de deux entreprises (joint-ventures), Uni Fiber, dédiée au déploiement de la fibre optique, et Uni Tower, chargée du développement des infrastructures 5G, s’inscrivent dans cette démarche de renforcement des capacités numériques nationales [19].

Qui plus est, compte tenu du volume croissant de données générées chaque jour, le recours au stockage distribué devient une nécessité. Ce modèle consiste à conserver des données, liées entre elles sur le fond ou sur la forme, dans différents endroits. Il correspond souvent à une forme de stockage dans le cloud. Ce qui soulève la question de la souveraineté des données, notamment parce que le marché du cloud est largement dominé par les GAFAM. Ces géants technologiques tirent parti de leur position pour renforcer leur hégémonie, imposer progressivement leurs propres règles, et poursuivre leur expansion au détriment des acteurs nationaux [20].

En outre, ces entreprises sont soumises au Cloud Act, une législation américaine à portée extraterritoriale permettant aux autorités judiciaires des États-Unis de demander l’accès à des données détenues par des entreprises américaines, y compris lorsque ces données sont hébergées en dehors du territoire américain.
Dès lors, la souveraineté des données exige que l’État mette en place une offre cloud structurée en plusieurs solutions, en fonction de la sensibilité des données [21]. Un cloud interne, reposant sur des technologies Open source, doit être dédié aux données les plus sensibles. Il doit être géré exclusivement par l’État, avec un haut niveau de sécurité et de contrôle, et hébergé dans les centres de données étatiques. Un cloud privé, dédié à l’hébergement de données moins sensibles, bien qu’opéré par des fournisseurs privés, doit reposer sur des infrastructures dédiées à l’État. Enfin, un cloud public, destiné aux données peu sensibles et accessible via Internet, doit respecter un socle minimal d’exigences en matière de sécurité, de réversibilité des services et de conformité à la réglementation nationale.

La migration vers le cloud « le Move to Cloud » doit être accompagnée de la mise en place d’une circulaire « Cloud First » ou « Cloud en premier », visant à inciter les entités publiques et privées à adopter et à privilégier les solutions basées sur le cloud pour leurs choix technologiques présents et futurs. Cela implique de considérer systématiquement les options de cloud computing avant d’examiner les solutions traditionnelles sur site.

Cette circulaire doit également avoir pour objectif de définir les lignes directrices que les entités doivent prendre en compte lors de l’adoption de services et de solutions cloud. Ces orientations permettront de mieux identifier le type de cloud à privilégier (cloud privé, public, hybride) ainsi que le prestataire le plus adapté, en fonction du niveau de sensibilité des données.

Ainsi, le fait que les données soient stockées de manière distribuée et proviennent de sources variées requiert une approche d’utilisation adaptée. D’où la nécessité de recourir à des bases de données capables de gérer un stockage distribué et de supporter la diversité des données, qu’il s’agisse de données structurées, semi-structurées ou non structurées. Ces bases sont consultées à travers de nouveaux mécanismes spécifiquement conçus à cet effet, tels que les interfaces de programmation d’application (API), les outils d’exploration visuelle ainsi que les systèmes NoSQL et SQL [22].
À ce propos, la mise en place d’un Data Lake [23] apparaît comme essentielle pour centraliser les données publiques et sectorielles, organisées par domaine d’activité, au sein d’un centre de données national sécurisé. Ces données pourront ensuite être préparées, transformées et nettoyées à l’aide d’outils Open source tels qu’Apache Spark et Hadoop, afin de les rendre utilisables et prêtes pour l’analyse.

Une fois structurées et fiabilisées, ces données deviendront pleinement exploitables pour l’analyse, ouvrant la voie à l’intégration d’outils de machine learning et d’intelligence artificielle. L’État bénéficiera ainsi d’une vision globale et consolidée, favorisant une prise de décision plus rapide, éclairée et fondée sur des analyses avancées.

Cependant, cela n’est valable que si les différents systèmes des divers secteurs de l’État peuvent communiquer et partager des données avec un minimum, voire une absence d’interaction humaine. Cela nécessite la mise en place de normes communes, incluant généralement des formats de données, des protocoles d’échange [24], ainsi qu’un vocabulaire partagé pour décrire les éléments de données.

Le fait que les solutions développées par l’ensemble des acteurs d’un écosystème soient compatibles avec les normes approuvées rend l’interopérabilité techniquement faisable, notamment grâce aux interfaces de programmation d’application (API), qui servent de passerelles entre les systèmes.

Ce qui reste à résoudre, c’est la capacité des systèmes à comprendre la signification des données échangées, surtout lorsqu’elles sont structurées différemment. Dans ce cas, les deux systèmes doivent partager un vocabulaire commun permettant d’interpréter les données. Quelle que soit leur source ou leur format, ils reconnaissent la signification des informations grâce à une terminologie commune « interopérabilité sémantique ».

Dans la même optique, il semble essentiel que l’État mette en place une plateforme de données de référence [25], afin d’assurer une classification unifiée et cohérente des données. Ce qui permettra d’instaurer une « source unique de vérité » pour les données critiques, garantissant ainsi que tous les acteurs et systèmes consultent la même version fiable de l’information.
Il serait également pertinent que l’État se dote d’un supercalculateur, de solutions d’intelligence artificielle souveraines, reposant sur des technologies Open source, et pourquoi pas d’un Data Marketplace, où les données pourront être achetées, vendues ou échangées entre acteurs publics et privés. Ce marché de la donnée devra avoir pour vocation de s’ouvrir à des espaces communs de données internationaux, favorisant ainsi la collaboration et l’innovation à l’échelle mondiale.

II - Mettre les données au service de la coopération économique internationale.

Il est indéniable que les données possèdent une valeur économique considérable [26]. Cependant, cette valeur ne se manifeste pleinement que lorsqu’elles sont utilisées et partagées entre les différents acteurs au sein d’un cadre collaboratif visant l’atteinte d’objectifs communs. Au-delà de leur simple monétisation ou de leur vente, les données représentent un véritable catalyseur d’innovation et un actif stratégique pour la prise de décision. Elles permettent aux entreprises et aux acteurs publics de concevoir de nouveaux services, produits et modèles économiques, et de prendre des décisions éclairées, prédictives et agiles grâce à l’analyse avancée des comportements des clients et du marché, notamment par l’usage de l’intelligence artificielle.

Nonobstant, les données sur lesquelles reposent de nombreux produits et services dans divers secteurs sont distribuées et détenues par différents acteurs au sein d’un même écosystème commercial. Cela nécessite une collaboration entre l’ensemble de ces parties prenantes afin d’assurer un accès équitable aux données détenues par chacun. Toutefois, ces acteurs n’ont pas nécessairement les mêmes intérêts. Les fournisseurs de données souhaitent conserver le contrôle et une transparence totale quant à l’utilisation de leurs données partagées, tandis que les utilisateurs doivent pouvoir faire confiance aux fournisseurs et aux sources de données. Cela implique la mise en place d’un cadre de gouvernance garantissant la souveraineté des données et renforçant la confiance (A), ainsi que le déploiement d’infrastructures technologiques offrant les fonctionnalités nécessaires à la mise en œuvre de cette gouvernance et favorisant le partage des données (B).

A - La gouvernance des espaces communs de données.

Les espaces communs de données, ou « Data Spaces », représentent une forme de collaboration multilatérale autour des données, motivée par un intérêt commun. Ils peuvent être définis comme « des écosystèmes fédérés reposant sur des politiques et des règles partagées » [27]. Ils sont essentiellement constitués de quatre catégories de participants. Les participants principaux sont les acteurs essentiels, habilités à offrir et/ou consommer des services auprès des autres membres de l’écosystème. Les participants intermédiaires, quant à eux, jouent le rôle d’entités de confiance en assurant l’interopérabilité et la souveraineté des données. À cela s’ajoutent les fournisseurs de logiciels et de services, qui mettent à disposition les outils et solutions nécessaires à la mise en œuvre des fonctionnalités requises au bon fonctionnement de l’espace de données. Enfin, l’organe de gouvernance est chargé de maintenir le cadre réglementaire et de définir les règles, politiques et exigences applicables à l’ensemble des participants.

Ces espaces trouvent leur origine dans la Stratégie européenne pour les données, qui en encourage la création dans plusieurs secteurs stratégiques  : la santé, l’agriculture, l’industrie manufacturière, l’énergie, la mobilité, les finances, l’administration publique, les compétences, le cloud européen pour la science ouverte, ainsi que dans le cadre du pacte vert.

Cette stratégie s’inscrit dans une régulation favorisant la libre circulation des données personnelles et non personnelles [28]. Elle vise à améliorer l’accès à des données de haute qualité et à constituer, à terme, un marché unique de la donnée. Ce marché se développera grâce à l’interconnexion progressive des espaces de données créés, et sera ouvert aux données provenant du monde entier, tout en garantissant l’application efficace des droits et de la législation européenne en matière de gouvernance des données et de protection de la vie privée [29].

Suivant cette logique, l’Union européenne a adopté le Data Governance Act (DGA) afin de faciliter le partage et la réutilisation des données à travers l’UE, en instaurant un climat de confiance et de transparence au sein des espaces communs de données, et en mettant en place des mécanismes garantissant un niveau élevé de protection des droits des détenteurs de données. Ce règlement permet notamment le partage et la réutilisation des données du secteur public qui ne peuvent être mises à disposition en tant que données ouvertes, en raison de leur caractère sensible ou de leur protection par le secret professionnel. Il leur accorde une protection spécifique en raison de leur nature et interdit aux organismes publics d’octroyer des droits d’exclusivité sur ce type de données. En revanche, ces organismes peuvent appliquer des frais afin de couvrir les coûts liés à leur mise à disposition.

Il introduit également deux nouveaux types de services de partage de données, à savoir : les prestataires de services d’intermédiation de données (PISD), agissant comme des tiers de confiance, ils facilitent le partage des données entre différentes parties. Ils doivent opérer de manière neutre et transparente, tout en garantissant aux individus et aux entreprises le maintien du contrôle sur leurs données ; et les organisations altruistes en matière de données (OAD), chargées de collecter et de traiter les données volontairement partagées à des fins d’intérêt général, telles que la recherche scientifique, la santé publique ou la lutte contre le changement climatique.
Ce règlement a été complété par le Data Act (DA), qui confère aux utilisateurs d’objets connectés [30] (IoT) le droit de demander aux détenteurs des données, souvent le fabricant du produit ou le fournisseur du service, de partager ces données avec eux ou directement avec un tiers de leur choix. Ces détenteurs sont tenus de fournir les données dans un format complet, structuré, couramment utilisé et lisible par machine.
Le Data Act établit également les règles du partage de données, que ce soit entre entreprises ou entre celles-ci et les acteurs publics, selon des principes équitables, raisonnables et non discriminatoires « Fair, Reasonable and Non-Discriminatory (FRAND) ». Il prévoit des garde-fous contre les clauses contractuelles abusives, notamment pour protéger les petites et moyennes entreprises (PME), et interdit l’utilisation des données obtenues par un destinataire en vue de développer des produits ou services directement concurrents de ceux du détenteur des données.
Dans la même optique, il impose des obligations aux fournisseurs de services cloud afin de faciliter la migration des données vers un autre prestataire ou leur restitution, dans le but d’éviter le phénomène de dépendance à un fournisseur unique « vendor lock-in » et de stimuler la concurrence. Il permet aussi aux organismes du secteur public d’accéder aux données détenues par les entreprises lorsqu’ils sont confrontés à un « besoin exceptionnel » [31], comme en cas de pandémies ou de catastrophes naturelles, à condition que cet accès soit proportionné, nécessaire et encadré par des conditions strictes afin d’éviter tout abus.

Enfin, il exige que les données soient interopérables au sein des espaces communs de données, et jette les bases de l’utilisation des contrats intelligents [32] « smart contracts » dans le cadre du partage des données.

Ces deux textes établissent les grands principes de gouvernance des espaces européens de données, dont les modalités doivent être négociées entre les participants à un espace de données et intégrées dans des accords commerciaux, opérationnels et organisationnels, ainsi que des politiques d’usage définies par le fournisseur de données. Ces accords et politiques doivent tenir compte de la taille de l’écosystème et du nombre de ses membres.

Plus l’écosystème est fermé et compte un nombre restreint d’acteurs, moins le recours à un prestataire de services d’intermédiation s’avère nécessaire, car ces fonctions pourraient être assumées par un membre interne. De même, la gouvernance est dans ce cas centralisée, étant assurée par un unique organe décisionnaire. En revanche, plus les acteurs sont nombreux ou l’écosystème est ouvert à d’autres, plus il devient nécessaire d’avoir un intermédiaire par écosystème. Ces intermédiaires doivent s’accorder sur des politiques claires et compréhensibles en matière de contrôle de l’usage des données, applicables à l’intérieur de chaque écosystème et entre écosystèmes. Dans ce contexte, la gouvernance devient distribuée entre les différents acteurs, voire décentralisée grâce au recours à des contrats intelligents basés sur la technologie blockchain.

Les accords et politiques propres à chaque écosystème relèvent d’une gouvernance collaborative des données. Ils visent à définir des règles communes encadrant les conditions d’utilisation des données. Ces règles peuvent être considérées comme les « conditions générales » [33] de l’économie des données. Par exemple, un fournisseur peut autoriser l’ensemble des participants d’un espace de données à accéder à ses ressources, ou limiter cet accès à un groupe restreint d’utilisateurs. Il conserve ainsi sa souveraineté sur ses données, ce qui lui donne le droit de désigner les personnes habilitées à y accéder, d’en définir les finalités d’usage et d’en fixer les modalités d’exploitation.

La gouvernance des écosystèmes de données, quant à elle, repose généralement sur des consortiums fédérant plusieurs espaces de données. Pour garantir une gouvernance neutre et transparente, la tendance actuelle est d’opter pour la création de coentreprises à but non lucratif. C’est le cas, par exemple, de Mobility Data Space, une initiative allemande portée par le ministère fédéral du Numérique et des Transports, qui prévoit la création d’une société à responsabilité limitée à but non lucratif, baptisée « DRM Datenraum Mobilität GmbH » [34].

Quant aux écosystèmes qui manipulent des données issues de particuliers (comme des consommateurs), des initiatives émergent en faveur de la création de data trusts « fiducies de données ». Ces structures permettent à de nombreux fournisseurs individuels de regrouper leurs intérêts afin de constituer un contrepoids face aux grandes plateformes de données [35].

Cela dit, la mise en place d’une gouvernance transparente et fondée sur la confiance ne suffit pas, à elle seule, à assurer l’attractivité des espaces communs de données pour les fournisseurs de données, ni à susciter, par ricochet, l’intérêt des utilisateurs à les rejoindre.

De ce fait, il apparaît essentiel que cette gouvernance repose sur un principe de rétribution fondé sur la réciprocité [36]. Autrement dit, les accords ou politiques d’usage doivent prévoir l’octroi d’une contrepartie au fournisseur en échange de la mise à disposition de ses données. Cette contrepartie peut prendre différentes formes ; l’accès aux données fournies par d’autres participants, le partage des résultats d’analyses issues des données communes, dès lors que ces résultats présentent un bénéfice tangible pour l’ensemble des fournisseurs ou encore une compensation financière, sous forme de redevances ou de royalties, pour l’utilisation des données mises à disposition.

Afin de bénéficier des opportunités d’innovation offertes par les espaces communs de données et de libérer le potentiel des données, plusieurs pays souhaitent s’inscrire dans cette dynamique. C’est notamment le cas du Canada [37], qui a signé un Accord de Partenariat Stratégique avec l’Union européenne, visant à favoriser la coopération et l’échange de bonnes pratiques dans les domaines technologiques et d’intérêt commun. Cet accord sert de cadre de référence pour la mise en place d’espaces communs de données au Canada. Dans cette optique, le pays a élaboré une Stratégie de données pour la fonction publique fédérale et a procédé à la mise à jour de ses lois afin de les aligner sur celles de l’Union européenne.

De même, l’Union africaine a élaboré un Cadre stratégique en matière de données [38] visant à orienter les pays membres dans le développement et l’harmonisation de leurs systèmes nationaux et de leur réglementation, afin d’exploiter efficacement les données et d’en tirer pleinement de la valeur. Ce Cadre préconise la libre circulation des données à l’échelle africaine et internationale, ainsi que la mise en place d’une gouvernance des données à l’échelle continentale, ouvrant ainsi la voie à un marché numérique unique. Il invite également les États à harmoniser leur cadre réglementaire, à converger leurs efforts et leurs investissements pour se doter des infrastructures nécessaires à l’hébergement, à la gestion, au traitement, au partage et à l’utilisation des données.

Quant au Maroc, la loi 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel autorise le transfert de ces données vers des pays étrangers, à condition que ces derniers garantissent un niveau de protection suffisant et figurent sur la liste publiée par la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP).

Dans la même veine, la lecture de l’article 11 de la loi 05-20 relative à la cybersécurité permet de comprendre, a contrario, que les données non sensibles peuvent être hébergées en dehors du territoire national. Cela implique que le cadre réglementaire marocain autorise, en principe, la libre circulation des données. Néanmoins, des ajustements réglementaires restent indispensables afin d’encadrer l’échange et le partage de données personnelles et non personnelles entre acteurs privés, ainsi qu’entre acteurs publics et privés, que ce soit au sein du Maroc ou dans le cadre de flux transfrontaliers.

Il conviendrait également d’introduire le droit à la portabilité des données, de reconnaître l’intérêt général [39] de certains types de données, et de considérer les données comme un bien commun [40], notamment celles relatives à la santé. De plus, il serait pertinent de permettre aux acteurs publics d’accéder, dans des cas exceptionnels et dans une logique d’intérêt général, aux données détenues par le secteur privé, tout en encadrant l’intermédiation dans les échanges de données. Enfin, une gouvernance des données devrait être mise en place afin de faciliter le partage et la coopération internationale autour de la donnée, et de garantir le développement d’une infrastructure souveraine, favorisant l’interopérabilité et l’échange des données, tout en inspirant la confiance et en assurant la souveraineté numérique.

B - Interopérabilité des espaces communs de données : un levier pour la souveraineté et la confiance.

Étant donné que les espaces communs de données constituent l’outil principal de mise en œuvre de la Stratégie européenne pour les données, leur infrastructure logicielle doit être compatible avec cette vision stratégique ainsi qu’avec les cadres réglementaires qui en découlent. Elle doit garantir la souveraineté des données, instaurer un climat de confiance, tout en assurant une interopérabilité équitable entre les participants.

De plus, cette infrastructure doit couvrir des écosystèmes entiers, voire des secteurs d’activité complets, prendre en compte les spécificités imposées par les législations propres à chaque domaine et permettre une interconnexion entre les différents espaces de données sectoriels.

Pour concrétiser cette vision, deux initiatives phares ont émergé : Gaia-X [41] et International Data Spaces (IDS) [42]. Gaia-X est une association internationale à but non lucratif de droit belge, qui vise à créer une infrastructure fédérée de données et de services pour l’Europe. IDS, quant à elle, est une association à but non lucratif de droit allemand, créée dans le cadre d’un projet de recherche visant à concevoir l’architecture des espaces internationaux de données. Son objectif est de regrouper les intérêts des différents secteurs industriels, de fournir des cas d’usage pour tester la conception de l’architecture, et d’encourager les activités d’adoption et de normalisation.

Cette association, qui compte aujourd’hui plus de 140 membres à travers le monde, a présenté en 2017 la première version du Modèle d’Architecture de Référence des Espaces de Données (IDS RAM). Cette version initiale a servi de cadre de référence pour les premières implémentations industrielles. Depuis, le modèle a évolué vers des versions plus avancées (comme IDS-RAM 4.0 et le brouillon de la version 5), intégrant des perspectives de confiance renforcées ainsi que des mécanismes de gouvernance décentralisée [43]. Aujourd’hui, IDS collabore avec Gaia-X en lui fournissant des architectures et des implémentations logicielles Open source, destinées à soutenir les technologies de souveraineté des données.

En optant pour une architecture fédérée, les espaces communs de données permettent aux participants d’échanger directement leurs données, sans avoir recours à un tiers ni à un stockage centralisé. Les données demeurent ainsi à leur source et ne sont partagées que lorsqu’elles sont nécessaires. Ce modèle permet aux fournisseurs de données de conserver leur souveraineté tant que les données ne sont pas exploitées, et lorsqu’un partage est requis, les espaces de données doivent veiller à ce que des politiques d’usage soient associées aux données, afin que les systèmes et les utilisateurs puissent les appliquer. Cela se fait via la mise en œuvre des protocoles d’échange de données.

Dans ce sens, un service de négociation de politiques et de contractualisation peut être mis à disposition des participants, notamment lorsque l’un ou plusieurs d’entre eux ne disposent pas des capacités techniques nécessaires. Cela permet de garantir que tous les participants puissent comprendre les politiques en vigueur, afin de pouvoir les appliquer correctement.

Par la suite, chaque participant est tenu de mettre en œuvre les interfaces liées aux services et fonctionnalités d’échange, ainsi que les fonctionnalités internes relatives à la gestion des utilisateurs de la configuration, des données et des métadonnées, au supervision et monitoring, ainsi qu’à la gestion et l’exécution des applications de données et la gestion des politiques, y compris leur application en matière d’accès et d’usage.

Les différents systèmes des participants sont reliés à l’écosystème de l’espace de données auquel ils appartiennent par un connecteur qui joue le rôle d’interface. Celui-ci permet une communication bidirectionnelle sécurisée, l’application des politiques d’usage sur les contenus échangés, la surveillance du système, ainsi que la journalisation des transactions de contenu à des fins de régularisation. L’architecture du connecteur repose sur le principe de traitement des données au plus près de leur source.

Néanmoins, étant donné que les formats de données et les protocoles varient d’un écosystème à l’autre, une standardisation apparaît essentielle pour garantir l’interopérabilité entre les différents espaces de données sectoriels. Dans cette optique, le modèle d’architecture de référence prévoit la mise en place d’un modèle d’information décrivant de manière sémantique les données, leurs concepts, leurs relations et les règles qui y sont associées, afin que les systèmes puissent comprendre non seulement le format des données échangées « niveau syntaxique » [44], mais aussi leur contenu « niveau sémantique » [45].

Ces deux niveaux d’interopérabilité « sémantique » et « syntaxique » font partie des plusieurs niveaux définis par le règlement pour une Europe interopérable, « Interoperable Europe Act » [46], qui inclut également les niveaux d’interopérabilité politique, juridique, organisationnel et technique. Ces différents niveaux visent ensemble à instaurer un climat de confiance au sein des espaces communs de données, concrétisé par le concept d’ancrages de confiance « Trust Anchors » [47].

À travers ce concept, Gaia-X accrédite des moyens techniques ainsi que des organismes d’évaluation de conformité, les habilitant à délivrer des attestations relatives à des affirmations spécifiques.

Elle accrédite également des notaires chargés de convertir des preuves « non lisibles par machine » en preuves « lisibles par machine » ainsi que des prestataires de services de confiance, capables de signer des revendications à l’aide de matériaux cryptographiques. Ces prestataires doivent émettre des certificats numériques reposant sur des processus documentés de vérification d’identité « Know Your Business » ou « Know Your Customer  » « KYB/KYC ». La liste des prestataires de services de confiance et des notaires accrédités figure dans le registre Gaia-X.
S’ajoutent à cela plusieurs services [48] visant à consolider la confiance et à permettre un échange de données fiable et fluide. À leur tête figure le service d’authentification [49], qui permet de créer, gérer et valider les informations d’identité des participants aux espaces communs de données. Ce service est essentiel pour garantir un fonctionnement sécurisé et prévenir tout accès non autorisé aux données.
A ce titre, l’Union européenne a adopté le règlement 2024/1183 modifiant le règlement n° 910/2014 en ce qui concerne l’établissement du cadre européen relatif à une identité numérique « European Digital Identity Regulation ». Ce règlement [50] prévoit la mise en place du portefeuille européen d’identité numérique EUDIW qui permettra aux citoyens et aux entreprises de stocker de manière sécurisée et de gérer leurs données d’identification numérique. L’objectif est de leur offrir un contrôle total sur leurs données et de leur permettre de s’authentifier en ligne, de s’identifier auprès des services publics et privés, et de fournir des preuves de leur identité dans l’ensemble de l’Union européenne.

S’ensuit le catalogue ou courtier de métadonnées, qui fournit des mécanismes permettant de publier des métadonnées sur un service ou une donnée, sous forme de descriptions, et de rechercher et d’interroger ces descriptions. Des vocabulaires spécifiques peuvent être mis en place afin d’enrichir les descriptions avec des métadonnées supplémentaires. Celles-ci doivent contenir un noyau minimal d’informations communes, tout en restant extensibles grâce à des vocabulaires issus de différents domaines techniques ou métier.

Enfin, la chambre de composition joue également un rôle essentiel, en enregistrant toutes les activités réalisées au cours d’un échange de données. Ces données de journalisation permettent la facturation des transactions et la résolution de conflits, par exemple pour vérifier la réception des données par le consommateur de données.

Conclusion.

Avec l’avènement de l’informatique grand public, ainsi que la démocratisation de l’Internet et des objets connectés, les êtres humains et leur environnement deviennent de plus en plus connectés, multipliant ainsi les sources de données et leur volume de manière exponentielle, c’est l’ère du « Big Data ». Ces données deviennent désormais exploitables grâce aux avancées dans les capacités de stockage et d’analyse, notamment par le recours à des algorithmes et à la puissance de calcul basée sur le cloud, permettant d’extraire des informations et des connaissances qui étaient autrefois inaccessibles avec notre seule force d’esprit et les fragments d’information dont nous disposions [51].
De ce fait, la prise de conscience de l’importance des données et des opportunités offertes par leur exploitation aux niveaux social, politique et économique ne cesse de croître. En effet, l’accumulation de données en soi ne crée aucune valeur  ; c’est leur utilisation stratégique dans les sphères politique et économique qui révèle tout leur potentiel. Dès lors, celui qui en détient le contrôle bénéficie d’un avantage concurrentiel considérable [52], susceptible, dans certains cas, de nuire aux autres acteurs.

Alors, afin de tirer pleinement parti des données et de garantir à l’ensemble des acteurs, qu’ils soient publics ou privés, un accès équitable, l’élaboration d’une stratégie nationale des données s’impose. Celle-ci doit avoir pour objectif de revoir le caractère de certains types de données, d’instaurer des règles favorisant le partage de données au sein d’un écosystème donné ou entre différents écosystèmes, et de mettre en place une gouvernance capable d’unifier la vision autour de l’importance stratégique des données.

Cette gouvernance doit être centralisée entre les mains d’une seule institution, dont la mission est d’accompagner la montée en maturité des organisations en matière de gestion des données, de veiller à la mise en place d’infrastructures et d’outils souverains, tels que des services cloud, des solutions étatiques d’intelligence artificielle et des plateformes de données « data marketplaces ». Ces infrastructures et outils sont aujourd’hui reconnus comme indispensables pour collecter, stocker et analyser les données, ainsi que pour développer des technologies de pointe, notamment l’entraînement des modèles d’intelligence artificielle [53].

La mise en place d’espaces internationaux de données a ouvert des perspectives prometteuses pour les États, leur offrant l’opportunité de développer une nouvelle forme de diplomatie et de coopération internationale fondée sur une logique de partage « gagnant-gagnant ». Cette dynamique est d’autant plus essentielle que la capacité à concevoir des solutions innovantes dans certains domaines repose sur l’analyse de données issues de multiples acteurs intervenant tout au long de la chaîne de valeur d’un processus donné. Chacun ne détient qu’une fraction de l’information, ce qui rend leur collaboration indispensable et le partage de données complémentaires « Complementary data sharing » bénéfique pour l’ensemble des parties prenantes [54]. Cette logique est particulièrement visible dans le secteur médical, où la modification d’un seul intrant peut profondément influencer le résultat final et, par ricochet, changer entièrement la donne. D’où la nécessité de partenariats entre hôpitaux, laboratoires et entreprises technologiques pour favoriser la détection précoce des maladies et la personnalisation des traitements.

Ces espaces communs de données trouvent leur fondement dans la Stratégie européenne pour les données, qui en a prévu l’encadrement juridique et technologique. Cette Stratégie s’appuie notamment sur deux initiatives majeures : Gaia-X et International Data Spaces, dont l’objectif est de développer des infrastructures européennes souveraines, favorisant un échange fédéré des données. Ces infrastructures répondent aux exigences légales en matière de protection de la souveraineté des données, d’instauration de la confiance et de promotion du partage et de collaboration.

Plusieurs pays, voire des continents [55], souhaitent s’inspirer du modèle européen afin de libérer le potentiel de leurs données stratégiques et de bâtir des politiques publiques ainsi qu’une économie de la donnée. Ils sont de plus en plus conscients que la valeur des données ne réside pas dans leur immobilité, mais dans leur mise en circulation, notamment transfrontalière, et dans les connexions qu’un organisme public ou privé est en mesure d’établir avec d’autres jeux de données situés sur d’autres territoires [56]. 

Dès lors, peut-on considérer que la libre circulation des données personnelles, ainsi que leur utilisation à des fins autres que celles initialement prévues lors de leur collecte, constitue une régression de la protection de la vie privée ? Cette régression serait-elle justifiée par les impératifs de développement économique et par la nécessité de contrer la position hégémonique des géants de la tech ? Et ce désir véhément ne risque-t-il pas d’entraîner un glissement de la part des acteurs technologiques, les incitant à accorder davantage de droits et de libertés aux usagers sur leur plateforme, notamment en matière de liberté d’expression, dans le but de générer plus de données et de créer, par conséquent, plus de valeur à partir de leurs traces numériques, dans une logique de « capitalisme de données » [57] ?